デジタルトランスフォーメーションにより、企業のビジネス・テクノロジースタックは絶えず変化しています。 かつては、一元的に管理されたゲート付き境界、企業から支給されたエンドポイント、オンプレミス型インフラストラクチャでしたが、これらは現在、ソフトウェアサービス、クラウドインフラストラクチャ、分散型アプリケーションサービスからなる、広大で、しかも拡大し続けるネットワークへと進化しています。
その証拠として、資金の流れを追ってみてください。 Enterprises now spend some
$700 billion annually on digital transformation projects, according to research firm Futurum. 同社の調査によると、一般的な企業では、 200 以上のアプリケーションが実際に利用されているだけでなく、それらのアプリケーションの60％が2年ごとに更新されているとのことです。 つまり、 2023年までには、現在使用されているアプリケーションの 60％が置き換えられることになります。
これは驚くべき数値であり、サイバーセキュリティに な課題をもたらしていることから、現在、多くの組織を悩ませています。 「こうした急速な変化のすべてが、セキュリティに対する従来のアプローチを根本から覆してしまいました」と、クラウドセキュリティ企業Orca Securityの顧問最高情報セキュリティ責任者（CISO）であり、ウェブセキュリティ企業Akamai Technologiesの元最高セキュリティ責任者であるアンディ・エリス氏は述べています。 「問題の解決に、ただ人手を増やすだけでは解決にはなりません。」 「スケーラビリティに欠けています。」
組織の急速なデジタルトランスフォーメーションの取り組みに遅れを取らないようにし、セキュリティ上の問題を軽減するためには、CIOや のCISO は、以下の5つの実践策に従うべきです。
デジタルトランスフォーメーションにセキュリティを取り入れる
今さら言うまでもないことかもしれませんが、新しいデジタルイニシアチブには、早い段階からセキュリティチームを参画させる必要があります。 以上です。 「セキュリティについては、初期段階の重要な話し合いや計画策定の過程で、必ず盛り込む必要があります」と、大手加工食品会社の情報セキュリティ担当上級幹部であるジョン・D・ジョンソン氏は述べています。
そうすることで、と彼は付け加えます。「何かが起きた場合に責任の所在が明確になり、また、会社を保護する上で私たちが果たすべき重要な役割があるのです。」 何か問題が発生したときにだけ対処しに来るだけでは、新たなデジタルイニシアチブを効果的に推進することはできません。 「組織が新たなデジタル市場を活用できるよう、より確実なロードマップを策定できるよう支援するためには、私たちも議論の全過程に参画しなければなりません。」
組織全体にセキュリティを浸透させることは、デジタルトランスフォーメーションのプロセス全体における意思決定だけにとどまりません。 セキュリティは、組織がどのアプリを導入するか、それらのアプリにどのような機能を追加するか、データをどこに保存するか、そして誰がそのデータにアクセスできるかといった、日々の業務上の意思決定の一部としても考慮される必要があります。
「全員が同じ方向に向かって進み、ビジネス変革の重要性を理解してほしいのです」と、 451 Researchの情報セキュリティ研究責任者であるスコット・クロフォード氏は述べています。 「つまり、ユーザー意識を持つことが必要であり、 に示されているような健全な企業文化を築くよう努める必要があります。。」
セキュリティを前倒しする
デジタルトランスフォーメーションの全過程においてセキュリティを組み込む必要がありますが、これは特に、 のDevOpsプロセス およびソフトウェアアプリケーション開発において当てはまります。 ベルギーに拠点を置く情報セキュリティコンサルティング会社「Wire Security」のCEO兼創業者であるウィム・レメス氏は、この状況を身をもって体験してきました。 DevOpsはソフトウェアの品質とセキュリティの向上につながり、それを一貫して実現できると彼は述べていますが、「そのためには、ソフトウェアの脅威モデルを考慮し、是正すべき欠陥を継続的に監視するセキュリティ体制が、開発およびIT運用としっかりと連携している必要があります」と指摘しています。
「こうした急速な変化のすべてが、セキュリティに対する従来のアプローチを根本から覆してしまいました。」Orca Securityの顧問CISO、アンディ・エリス氏
リバティ・ミューチュアル・インシュアランス社のオフェンシブ・セキュリティ担当ディレクター、クリス・ブロー氏もこれに同意し、次のように付け加えています。「セキュリティが開発プロセスに適切に組み込まれれば、サイバー防御はソフトウェアの展開後に実施されるのではなく、開発パイプラインに組み込まれることになります。」 「これにより、セキュアな開発をスケーラブルかつ迅速に行うことができるようになります」とブロー氏は述べています。
できることは自動化しましょう
手作業によるプロセスは拡張性がありません。そのため、経理の請求書管理から人事の入社手続きに至るまで、幅広い企業向けアプリケーションやワークフローにおいて、プロセスの自動化が進んでいます。 自動化により、人的ミスが減り、生産性が向上し、従業員がより高度な業務に取り組めるようになることで、従業員の仕事への満足度も高まります。 サイバーセキュリティにおいても、自動化は目標とすべきものです。
幸いなことに、アプリケーション・プログラミング・インターフェース（API）の増加や、アプリケーションのセキュリティスキャン、システムの脆弱性および の設定評価、ユーザーのプロビジョニングといったセキュリティ運用の自動化が可能になったことで、これが実現できるようになりました。
「企業は、継続的な自動化されたセキュリティテストと検証という観点から考える必要があります」と、クロフォード氏は述べています。
エリス氏もこれに同意し、次のように付け加えています。「今日、セキュリティとは、主に自動化できる能力にかかっているのです。」 反復的な作業に時間を費やすのをやめるためには、自動化する必要があります。 「もしまだこれを実践していないなら、時代遅れです。」 一歩先を行く、あるいは少なくとも遅れを取り戻すために、彼はセキュリティおよび技術チームに対し、最新のAPIや統合機能を活用して、ネットワーク構成を監視し、セキュリティ上の問題がないか確認するよう助言しています。 「統合を安価かつ簡単に実現し、その状況を容易に監視できるようにする方法を考えなければなりません」と彼は言います。
衛生管理を徹底してください
システムが迅速に導入される際には、セキュリティの基本対策も速やかに講じる必要があります。 つまり、システムには のパッチ適用 や最新の状態への更新、システム設定の適切な設定、エンドポイント やネットワークの脅威およびマルウェアのスキャン、データとシステムのバックアップ、不要なサービスの停止など、他にも多くのセキュリティ健全性確保のための必須事項が求められます。
「システムの俊敏性を確保するためには、基本的な整備（ ）が整っている必要があります。なぜなら、基本的な整備が整っていなければ、新たな取り組みや変革の過程で、より高度な機能を発揮することが難しくなるからです」と、キャンベル社のジョンソン氏は述べています。
[関連記事：サイバー・ハイジーン――積極的なリスク管理はここから始まります]
クロフォード氏も同意見です。 「一歩引いて、 のような一貫性のある資産リストを作成し、 どのような資産が導入されているか、またテクノロジーの展開が進むにつれて、それらの維持管理やセキュリティ確保の責任者が誰であるかを確認することが重要です」と彼は述べています。
付加価値の高い、規制対象のデータに焦点を当てる
投資銀行家が、特定の期間における金融機関、ポートフォリオ、またはポジションの潜在的な損失の規模を定量化するために用いる統計モデルがあります。 これは「バリュー・アット・リスク（VaR）」と呼ばれています。 組織のセキュリティリスクを評価するCISOにとって、VaRはますます重要なツールとなっています。
セキュリティ担当者は、システムやデータの価値に基づいてデジタルリスクを定量化する必要があります。そうすることで、サイバーセキュリティへの投資に関する意思決定が容易になります。 のサイバーVaRモデル（ ）は、セキュリティインシデントによって生じる可能性のある金銭的損失、その発生期間、および発生確率を分析します。 これにより、CISOは主要な経営幹部と、ビジネスの文脈に即してサイバーセキュリティのリスクについて議論することが可能になります。
[関連記事：ITリスクの評価と是正を行う、新しい統合ソリューション「Tanium Risk」を発表]
重要なリスクに焦点を当てることは不可欠です。 セキュリティチームが自組織のデジタルトランスフォーメーションの取り組みに遅れを取らないようにするためには、そのリスクスコアについて十分に理解しておく必要があります。 そうでなければ、彼らは未知のものに飲み込まれてしまうでしょう。
「セキュリティチームは、組織内で日々発生するあらゆる事象に対応するには、人員が少なすぎる場合が多いのです」とクロフォード氏は述べています。 「ですから、もし彼らがすべてを国家機密であるかのように守ろうとするなら、おそらく、長期にわたって何かをしっかりと守ることはできないでしょう。」
